脆弱性

総務省の解説ページは、こう定義しています[1]。

脆弱性（ぜいじゃくせい）とは、コンピュータのOSやソフトウェアにおいて、プログラムの不具合や設計上のミスが原因となって発生するサイバーセキュリティ上の欠陥のことです。

— 総務省「国民のためのサイバーセキュリティサイト」

続けて「脆弱性は、セキュリティホールとも呼ばれます。」と書いています[1]。

同じページは、「脆弱性が残された状態でコンピュータを利用していると、不正にアクセスされたり、ウイルスに感染したりする危険性があります。」と書いています[1]。悪用のされ方として、次を挙げています[1]。

脆弱性を利用した不正アクセスによって、ホームページが改ざんされたり、他のコンピュータを攻撃するための踏み台に利用されたり、ウイルスの発信源になってしまったりするなど、攻撃者に悪用されてしまう可能性があるため、脆弱性は必ず塞がなければなりません。

パソコンやスマートフォンだけの話ではありません。家電やカーナビのようにインターネットにつながる機器についても、「これらの機器もコンピュータで動いており、ソフトウェアに脆弱性があると被害を受けるリスクが生じることには変わりありません。」とされています[1]。

不正アクセスやマルウェアの説明にも、入口として脆弱性が出てきます。

総務省の2つの資料は、範囲の書き方が少し違います。

• 解説ページは、OSやソフトウェアの「プログラムの不具合や設計上のミスが原因となって発生する」欠陥と書いています[1]。
• 用語集は、「コンピュータやネットワークにおいて、サイバーセキュリティ上の問題となる可能性がある弱点のこと。」としたうえで、「多くの場合は、OSやソフトウェアのセキュリティホールが脆弱性となります。」「また、設定ミスや管理体制の不備なども脆弱性のひとつとなることがあります。」と書いています[2]。

つまり、ソフトウェアの欠陥が中心だが、用語集は設定ミスや管理体制の不備まで含めて「脆弱性」と呼ぶことがある、と書いています。ニュースで「脆弱性を突かれた」とあっても、プログラムの欠陥なのか設定の問題なのかは、発表をよく読まないと分かりません。

用語集はまた、「これらの脆弱性が具体的な脅威と結び付くと、サイバーセキュリティのインシデント（事件・事故）が発生してしまうことになります。」と書いています[2]。脆弱性があること自体は、まだ被害が起きたことを意味しません。

解説ページは、「脆弱性を塞ぐには、OSやソフトウェアのアップデートが必要となります。」と書いています[1]。見つかったときの流れは、「このような脆弱性が発見されると、多くの場合、ソフトウェアを開発したメーカーが更新プログラムを作成して提供します。」とされています[1]。

この更新プログラムを、用語集は「ソフトウェアの欠陥や、脆弱性（ぜいじゃくせい）などを修正するために使用されるプログラムのこと。」と説明し、「「修正パッチ」や「更新プログラム」と呼ばれることもあります。」としています[2]。

ただし、一度塞げば終わりではありません。

• 「しかし、脆弱性は完全に対策を施すことが困難であり、次々と新たな脆弱性が発見されているのが現状です。」[1]
• 「ただし、一度脆弱性を塞いでも、また新たな脆弱性が発見される可能性があるため、常にOSやソフトウェアの更新情報を収集して、できる限り迅速にアップデートを行わなければなりません。」[1]

修正が間に合わないうちに狙われることもあります。解説ページの説明です[1]。

ゼロデイ攻撃とは、OSやソフトウェアの脆弱性が発見されたときに、メーカーが修正プログラムを配布する前に、その脆弱性を利用して行われる攻撃です。

この場合は、「修正プログラムを適用するまでの間は十分な注意が必要です。」とされています[1]。

「脆弱性が見つかった」「脆弱性を突かれた」「脆弱性を修正した」は、それぞれ別の段階です。見つかっただけなのか、実際に攻撃に使われたのか、修正プログラムが出ているのかを分けて読むと、自分の使っている製品に何をすればよいか（すぐ更新するのか、出るまで注意するのか）が判断しやすくなります。

1. 総務省「国民のためのサイバーセキュリティサイト」脆弱性（ぜいじゃくせい）とは？
2. 総務省「国民のためのサイバーセキュリティサイト」用語集（さ行）